Письмо, отправленное через VPN: куда на самом деле уходит ответ

Вы отправляете сообщение через туннель, отключаетесь, и ответ приходит на следующее утро. Ничего в этом не требует старого VPN-адреса, и ничего в этом не ломается. Электронная почта направляет ответы не на адрес, с которого было отправлено сообщение, а в почтовый ящик. Три пути здесь сливаются в один вопрос, и их разделение снимает большую часть беспокойства.

Три пути, которые люди сливают в один

Отправка, доставка и чтение — три отдельных соединения, и только два из них затрагивают ваше устройство.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN может влиять на первое и третье, потому что это соединения, которые устанавливает ваше устройство. Он не может влиять на второе, потому что этот путь идёт между двумя почтовыми серверами, которые вы не контролируете. Ответ — не пакет, возвращающийся на адрес, с которого вы отправили. Это новое сообщение, которое почтовая служба другой стороны доставляет вашей службе почтового ящика.

Когда вы держите эти три порознь, вопрос, найдёт ли вас ответ, перестаёт быть загадочным.

Поле Reply-To — это адрес, а не маршрут

RFC 5322 определяет Reply-To как почтовый ящик или ящики, на которые следует отправлять ответы. Без него обычным значением по умолчанию является ящик From, если только отвечающий не введёт что-то другое. Оба — почтовые адреса в заголовке. Ни один из них не является указанием снова открыть сетевое соединение, которое отправило исходное сообщение.

Поэтому адрес выхода VPN никогда не появляется на пути ответа. Даже если сервер отправки где-то записал этот адрес выхода, ответ адресуется почтовому ящику, а отправляющий сервер ищет почтовый обменник домена, а не ваш старый сокет.

Если ответ уходит куда-то неожиданно, прочитайте Reply-To и собственные настройки клиента отправителя, прежде чем подозревать туннель.

Что на самом деле записывают заголовки трассировки

Каждый шаг SMTP добавляет в начало заголовок Received, описывающий обработанное соединение, и самый верхний — это последний шаг перед доставкой. Поэтому отправленное сообщение может нести сетевые подробности, которые стоит изучить, и эти подробности пишут серверы, а не выбираете вы. Что в них будет, зависит от архитектуры отправки у провайдера и его обращения с заголовками.

Читайте их вместо догадок, из сохранённого сообщения:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Полезная дисциплина — определить, какая доверенная служба добавила каждое поле. Произвольный текст выше в блоке заголовков не является надёжным доказательством, а название продукта не является вечным обещанием, что ваш домашний адрес всегда присутствует или всегда отсутствует.

Чтение почты позже — это новое соединение

Когда вы открываете ответ, ваш клиент подключается к службе почтового ящика через ту сеть, в которой вы находитесь сейчас. Это свежее соединение с собственным адресом источника, а не продолжение вчерашнего сокета отправки. Оно следует текущей политике сети, которую вы используете в этот момент.

Удалённое содержимое — это ещё третье. Почтовый клиент, который загружает удалённое изображение или переходит по ссылке, делает отдельный запрос согласно своим текущим настройкам, и этот запрос может нести любые идентификаторы, внедрённые в сообщение. Это не SMTP-ответ, приходящий на старый адрес, и отношение к нему как к таковому скрывает реальную экспозицию.

Отключите удалённое содержимое, если хотите прочитать сообщение, не объявляя, что вы его открыли.

Что проверить, прежде чем называть это утечкой

Начните с просмотра исходного сообщения и поля Reply-To. Затем определите, какая служба добавила записи Received, которые вас беспокоят, и сравните это с текущей документацией провайдера, а не со старым ответом на форуме.

Наконец, разделите вопросы: что наблюдал сервер отправки, что добавила цепочка доставки и что запросил ваш клиент, когда вы открыли сообщение?

Ответить на эти три по отдельности — больше работы, чем проверить страницу IP, и это единственный вариант, который даёт вывод, который можно защитить. Ответ на адрес электронной почты не раскрывает ваш домашний адрес и не требует, чтобы старый туннель оставался включённым.